הצהרת זמן מוסמכת eIDAS: הוכחת תאריך ודאי

הצהרת הזמן האלקטרונית נתפסת לעתים קרובות כפרט טכני שולי. במציאות, היא מהווה אחד מעמודי התווך של הערך הראייתי של מסמך החתום בחתימה אלקטרונית. ללא זה, חתימה דיגיטלית לא אומרת דבר על הרגע שבו הוא יושם — חוסר המעצור שעלול להיות קטלני במקרה של סכסוך. התקנון eIDAS מס' 910/2014 הציג בדיוק את הרעיון של הצהרת זמן מוסמכת, הרמה הגבוהה ביותר של הסמכת תאריך המוכרת בכל המדינות החברות בברית האירופית. מאמר זה מפענח את הנוכחות הזו, דרישותיה הטכניות, ההיקף המשפטי שלה והמצבים הקונקרטיים שבהם היא הופכת להכרחית.

מהי הצהרת זמן מוסמכת במובן eIDAS?

הגדרה ורמות הצהרת זמן

התקנון eIDAS מבחין בין שתי קטגוריות של הצהרת זמן אלקטרונית:

• הצהרת זמן אלקטרונית פשוטה: כל נתון בצורה אלקטרונית המשייך תאריך ושעה לנתונים אחרים. היא נהנית מהנחת אמינות שניתן להפריך (סעיף 41 eIDAS).
• הצהרת זמן מוסמכת: רמה גבוהה יותר, שהונפקה על ידי ספק שירותי אמון מוסמך (PSCQ) הרשום ברשימת אמון לאומית בפיקוח. היא נהנית מהנחה משפטית לדיוק התאריך והשעה ושלמות הנתונים עם הצהרת הזמן (סעיף 42 eIDAS).

הבחנה זו היא בעלת חשיבות קריטית: הצהרת זמן מוסמכת נחשבת מדויקת עד שיוכח אחרת, מה שהופכת את נטל ההוכחה במקרה של סכסוך. כדי להרחיב על הרמות השונות של אמון שנקבעו בטקסט זה, בדוק את המדריך המלא שלנו להנחיות eIDAS 2.0.

דרישות טכניות להצהרת זמן מוסמכת

כדי להיות מוסמכת בהתאם ל-eIDAS, הצהרת זמן חייבת לעמוד בקריטריונים קפדניים המוגדרים בסעיף 42 של התקנון:

1. חיבור התאריך והשעה לנתונים בצורה שמבטלת סביר מאוד כל אפשרות של שינוי שלא יוגלה.
2. הסתמכות על מקור זמן דיוק המוקשר לזמן אוניברסלי מתואם (UTC), הניתן לעקיבה ומתאים לתקני ETSI EN 319 421 ו-EN 319 422.
3. חתימה באמצעות חתימה אלקטרונית משופרת או חותם אלקטרוני משופר של ה-PSCQ המוסמך, או בשיטה שקולה.

בפועל, הספק מקבל טביעת אצבע קריפטוגרפית (hash) של המסמך, משם מחתים בעל הוצאת זמן חתומה, וממנו מוחזר אסימון הצהרת זמן (timestamp token, TST) תואם פרוטוקול RFC 3161. תהליך זה לעולם לא משדר את התוכן של המסמך לספק — רק את הטביעה — מה שמבטיח סודיות של נתונים.

רשימות אמון והשגחה לאומית

בצרפת, ANSSI (סוכנות סיור האבטחה של מערכות מידע) היא סמכות הפיקוח המטיילת ברשימת הספקים המוסמכים. רשימה זו מפורסמת בפורמט XML חתום והשולבת ברשימת האמון האירופית (EU Trusted List) שניתן להגיע אליה דרך פורטל eIDAS של הנציבות האירופית. כל ספק הרשום שם עבר ביקורת תאימות קפדנית לפי תקני ETSI EN 319 401 (דרישות כלליות) ו-ETSI EN 319 421 (פרופיל מדיניות עבור TSA מוסמכים).

כאשר אתה מעריך פתרון חתימה אלקטרונית לעסקך, בדיקה שהספק משלב הצהרת זמן מוסמכת — ולא רק הצהרת זמן פנימית — היא קריטריון בחירה פוסע.

מדוע הצהרת זמן מוסמכת קריטית להוכחת תאריך?

התאריך בשרשרת הראיות הדיגיטליות

חתימה אלקטרונית מוסמכת מוכיחה מי חתם ושהמסמך לא שונה. אך היא לא מוכיחה מתי הוא יושם, אלא אם הצהרת זמן מוסמכת משויכת אליו. הבחנה זו חוברת חשיבות מלאה בכמה תרחישים:

• קדימות של כדור דינה: כדי לבסס שברור או ידע משהו היה קודם לתאריך מסוים.
• כבוד להנחיות חוק: להוכיח שחוזה חתום לפני דקדוק הצעה.
• ארכיון הוכחה לטווח ארוך: ההיתכנות הקריפטוגרפית של חתימה עלולה להסתיים עם ההיפנות של אלגוריתמים (תופעת הזקנות של חתימה). הצהרת זמן מוסמכת תוכל ל- "החזיר הצהרת זמן" לנתונים ולהאריך את הערך הראייתי שלו.

הזקנות של חתימות וממוציא הצהרת זמן חדש

אלגוריתמים קריפטוגרפיים מתחוללים. תעודת חתימה מבוססת RSA-2048, הנחשבת בטוחה בשנת 2015, עלולה להיושפט כלא מספקת בשנת 2030 עם עלייה בכוח של מחשוביות קוונטית. הארכיון עם ערך ראייתי מסתמך על פרקטיקה של ממוציא הצהרת זמן חדש: לפני פקיעתה המשוערת של חוסן אלגוריתם, מחילים הצהרת זמן מוסמכת חדשה לקבוצה (מסמך + חתימה + הצהרת זמן קודמת), וכך יוצרים שרשרת אמון ללא הפסקה.

גישה זו מומחנו ב-ETSI EN 319 102-2 (הליכי בדיקה של חתימות משופרות ומוסמכות) ומומלצת לכל מסמך שיש להחזיק יותר מ-10 שנים — גזירות נוטריון, חוזים מסחריים לטווח ארוך, קבצים רפואיים או מסמכים רגולטוריים.

יכולת פעולה הדדית אירופאית והכרה הדדית

אחד ההיתרונות המרכזיים של הצהרת זמן המוסמכת eIDAS טמון בה בהכרה אוטומטית בין כל 27 המדינות החברות (סעיף 41.3 eIDAS). הצהרת זמן מוסמכת שהונפקה על ידי PSCQ צרפתי מייצרת את אותו ההשפעה המשפטית בגרמניה, בספרד או בפולין. יכולת הנשיאות המשפטית זו חיונית במיוחד לעסקים הפועלים בשווקים אירופאים חוצי-גבולות, החותמים חוזים עם שותפים במספר מדינות. כדי להשוות בין הגישות השונות הזמינות בשוק, ההשוואה שלנו של פתרונות חתימה אלקטרונית מציעה ניתוח מפורט.

שילוב הצהרת זמן מוסמכת בזרימת חתימה אלקטרונית

אדריכלות טכנית של זרימה תואמת

בתהליך חתימה אלקטרונית מוסמכת (QES), הצהרת הזמן משתלבת בכמה רמות של המסמך החתום, לפי פורמטים ETSI המוגדרים לחתימות בטווח ארוך:

• פורמט XAdES-LTA (חתימות אלקטרוניות מתקדמות XML – ארכיון לטווח ארוך): למסמכי XML.
• פורמט PAdES-LTA (חתימות אלקטרוניות מתקדמות PDF – ארכיון לטווח ארוך): ל-PDFs, הפורמט השכיח ביותר בעסקים.
• פורמט CAdES-LTA (חתימות אלקטרוניות מתקדמות CMS – ארכיון לטווח ארוך): לקבצים בינאריים כללייםl

הסיומת LTA (ארכיון לטווח ארוך) מייעדת בדיוק את הרמה המשלבת הצהרת זמן מוסמכת ונתוני ביטול הדרושים לאימות עתידי, גם לאחר פקיעת תעודות.

תפקיד הפלטפורמה SaaS של חתימה

בפתרון SaaS כמו Certyneo, השילוב של הצהרת זמן מוסמכת הוא שקוף למשתמש הסופי. הפלטפורמה:

1. יוצרת את הטביעה הקריפטוגרפית של המסמך שהושלם.
2. שולחת את הטביעה לשטח (Time Stamping Authority) מוסמך שותף דרך חיבור מאובטח.
3. מקבלת את הטוקן של הצהרת הזמן (TST) החתום.
4. משלבת את ה-TST בקובץ PDF/A לפי פורמט PAdES-LTA.
5. מאחסנת את הקבוצה בסביבה של ארכיון מאובטח, עצמה נבדקת.

המשתמש כך יש לו מסמך שתאריך סיום החתימה שלו מוסמך וניתן לאימות על ידי כל צד שלישי, ללא תלות בתשתית הפלטפורמה שביצעה את החתימה. עצמאות זו של אימות היא קריטריון של שלילוה לעתים קרובות בעת קריאות לחזקה. אם אתה שוקל לשנות ספקים, המדריך ההעברה שלנו מ-DocuSign או YouSign ל-Certyneo מפרט את הנקודות של זהירות טכנית לחזות.

אימות ובדיקה

כל מסמך המשלב הצהרת זמן מוסמכת PAdES-LTA ניתן לאימות בחינם דרך כלים open source (DSS Library של הנציבות האירופית) או מאמתים מקוונים תואמים ל-eIDAS. האימות מאשר:

• זהות של החותם (תעודה מוסמכת).
• שלמות של המסמך (ללא שינוי לאחר חתימה).
• תאריך ושעה מוסמכים (טוקן TST תקף, TSA ברשימת אמון).
• אי-שחזור של התעודה ברגע החתימה.

יכולת עקיבה זו המלאה מהווה יתרון פוסע לקבוצות משפטיות שעליהן לייצר באופן קבוע הוכחות מסמכיות בהקשר של סכסוך או ביקורות ניהול.

מסגרת משפטית החלה על הצהרת זמן מוסמכת

תקנון eIDAS מס' 910/2014

התקנון (EU) מס' 910/2014 של פרלמנט אירופה וריכוז של ה-23 ביולי 2014, המכונה תקנון eIDAS, מהווה את היסוד המשפטי של הצהרת זמן מוסמכת באירופה. הוראותיו המרכזיות הן:

• סעיף 3(34): מוגדר כהצהרת זמן אלקטרונית כ- "נתונים בצורה אלקטרונית המשייכים נתונים אחרים בצורה אלקטרונית לרגע מסוים וקובעים הוכחה שנתונים אלה היו קיימים ברגע זה".
• סעיף 41: עניין להצהרות זמן אלקטרוניות פשוטות הנחת דיוק שניתן להפריך.
• סעיף 42: קובע תנאים להסמכת הצהרת זמן (מקור UTC הניתן לעקיבה, חתימה של PSCQ מוסמך, חיבור קריפטוגרפי עם נתונים).
• סעיף 42(2): מעניק להצהרת זמן מוסמכת הנחה משפטית לדיוק התאריך והשעה והשלמות של נתונים משויכים. הנחה זו תקפה בכל בית משפט ב-EU ללא צורך בהוכחה נוספת.

התקנון eIDAS 2.0 (תקנון EU 2024/1183, שחל בהדרגה מ-2024) מחזק את הוראות אלה בהרחבת המסגרת לארנקי זהות דיגיטלית אירופאיים (EUDIW), ללא חידוש של היסודות של הצהרת זמן מוסמכת.

קוד אזרחי צרפתי — סעיפים 1366 ו-1367

בדין הצרפתי, סעיף 1366 של הקוד האזרחי קובע ש"כתב אלקטרוני בעל אותו כוח ראייתי כמו כתב על תמיכה ניירות, תחת הסייג שניתן לזהות כראוי את האדם שממנו זה נובע ושהוא קבוע ושמור בתנאים המיועדים להבטיח את שלמותו". סעיף 1367 משרה את התנאים של חתימה אלקטרונית בר-סמך. הצהרת זמן מוסמכת משתתפת ישירות בסיפוק התנאים של שלמות ודיוק תאריך הנדרשים על ידי טקסטים אלה.

יתר על כן, צו מס' 2017-1416 של ה-28 בספטמבר 2017 הנוגע לחתימה אלקטרונית מתייחס בבירור לתקנון eIDAS כדי להגדיר את רמות החתימה הנקלטות לפני בתי משפט צרפתיים.

חובות שימור ו-RGPD

תקנון (EU) 2016/679 (RGPD), החל על כל טיפול בנתונים אישיים, מטיל אמצעי ביטחון טכניים הולמים (סעיף 32). הצהרת זמן מוסמכת, בהבטחת שלמות ודיוק תאריך של נתונים המעובדים, תורמת לעמידה ב-RGPD בזרימות מסמכיות הכוללות נתונים אישיים.

מגזרים מסוימים אוכפים משכי שמירה משפטיים ספציפיים: 5 שנים לחוזים מסחריים (סעיף L.110-4 של קוד המסחר), 10 שנים לעבודות של החיים האזרחיים, 20 שנים למסמכים רפואיים מסוימים. לארכיונים ארוכי טווח אלה, היעדר הצהרת זמן מוסמכת וממוציא הצהרת זמן חדש תקופתי מהווה סיכון משפטי עיקרי: המסמך עלול לאבד את ערכו הראייתי לפני סיום תקופת השמירה החוקית.

תקני ETSI של התייחסות

• ETSI EN 319 421: מדיניות ודרישות ביטחון עבור TSA (זמן חתימה סמכויות) מוסמכות.
• ETSI EN 319 422: פרופיל של אסימון הצהרת זמן.
• ETSI EN 319 102-1/2: הליכים ליצירה ואימות של חתימות משופרות ומוסמכות, משלבים הצהרת זמן.
• ETSI EN 319 132 (XAdES) ו-EN 319 122 (CAdES): פורמטים של חתימה לטווח ארוך.

תרחישי שימוש: מתי הצהרת זמן מוסמכת היא קובעת?

תרחיש 1 — משרד עורכי דין עסקיים המנהלים קבצי סכסוך

משרד עורכי דין עסקיים של כ-15 עמיתים, המתמחה בסכסוכי חוזים B2B, משתמש בחתימה אלקטרונית מוסמכת לעניין הליכים שלו, הסכמי הכנסות והתכתובות הרגישות שלו. בהקשר של סכסוך הנוגע לתאריך קבלת הצעה מסחרית, היריב חולק שהחתימה של הלקוח שלו קדימה לפקיעת ההנחיה שנקבעה בהצעה.

בזכות הצהרת זמן מוסמכת המשולבת במסמך PAdES-LTA, המשרד מייצר טוקן הצהרת זמן שהונפק על ידי PSCQ הרשום ברשימת האמון הצרפתית. התאריך המוסמך — עד השנייה — ניתן לאימות באופן עצמאי על ידי השופט והמומחה של בית המשפט. הנחת הדין של סעיף 42 eIDAS חלה: נטל ההוכחה בניגוד מונח כעת על היריב. הקובץ נפתר ללא בדיקה של הסתייגות יקרה, וחוסך בערך 15 עד 25 ימים של נוהל לפי הערכות רגילות עבור סוג סכסוך זה.

תרחיש 2 — עסק קטן בתעשייה המנהל תיק חוזים ספקים

עסק קטן בתעשייה המנהל כ-300 חוזים עם ספקים בשנה — NDA, תנאים כלליים לרכישה, תיקיונים הנוגעים לתעריפים — מבקש להבטיח את הארכיון הדוקומנטרי שלו בהקשר של שיפוץ של ה-ERP שלו. החברה שואפת לשמר ערך ראייתי של חוזיה במשך 10 שנים לפחות, בעקבות חובות חוקיות ודרישות של המבטחת שלה.

על ידי פרסום פתרון של חתימה אלקטרונית המשלב הצהרת זמן מוסמכת ופורמט PAdES-LTA, העסק הקטן יוצר באופן אוטומטי ארכיונים בעלי ערך ראייתי ארוך טווח. ביקורת פנימית שנערכה 18 חודשים לאחר הפרסום חושפת ירידה של 40% בזמן המוקדש לחיפוש ולשיחזור מסמכיים במהלך ביקורות הספקים, וביטול כמעט מוחלט של סכסוכים הקשורים לאי-הסכמות בתאריך של תחילת הכוח של תיקיונים הנוגעים לתעריפים. הצוותים של משאבי אנוש נהנים מאותה התועלת עבור חוזי עבודה ותיקיונים, עם עמידה מחוזקת בעת בדיקות של החלוקה.

תרחיש 3 — מוסד בריאות וארכיון הסכמות חולים

קבוצה בית חולים בגודל בינוני (כ-600 מיטות) מטפחת את טפסי ההסכמה שלה שפורשו לצורך מעשים כירורגיים וניסויים קליניים. הרגולציה החלה (סעיף L.1111-4 של קוד הבריאות הציבורית, תקנון (EU) 536/2014 בנוגע לניסויים קליניים) דורשת לא רק כיבוד של הסכמה אלא גם ודאות של דיוק תאריך שלה לפני המעשה הרפואי.

שילוב הצהרת זמן מוסמכת בזרימה של חתימה של הסכמות מבטיח שתאריך ההסכמה הוא מוסמך ובלתי מעוררי מחלוקת, גם במקרה של בדיקה על ידי סמכויות בריאות (HAS, ANSM) או של סכסוך רפואי. עבור גזע זה, הפתרונות של חתימה אלקטרונית המותאמים לבריאות חייבים באופן חיוני להשלב הצהרת זמן מוסמכת כדי לענות על חובות רגולטוריות ספציפיות. מוסדות שפרסמו סוג פתרון זה צופים בדרך כלל ירידה של 60 עד 70% בזמן הניהול של הסכמות מטופלות בהשוואה לתהליך נייר, על פי ציוני הכושר שפורסמו על ידי הסociation של ראיי מוסדות בריאות.

סיכום

הצהרת זמן המוסמכת eIDAS אינה רק חותמת דיגיטלית: זוהי הנחה משפטית חזקה, המוכרת בכל ברית האירופית, המשנה את תאריך המסמך שחתום בחתימה אלקטרונית להוכחה שניתן להתנגד לה בכל בית משפט. בהסתמכות על PSCQ בפיקוח, תקני ETSI קפדניים ופורמטים של ארכיון ארוך טווח (PAdES-LTA), הוא מציע ביטחון משפטי שהצהרת זמן של שרת פנימי או רק נתוני מטא של קבצים אינם יכולים להשוות.

עבור עסקים החותמים חוזים, מנהלים קבצים רגישים או חייבים לשמור הוכחות מסמכיות במשך כמה שנים, שילוב הצהרת זמן מוסמכת בזרימת החתימה שלהם אינו עוד אפשרות — זוהי דרישה של תרגול משפטי טוב.

Certyneo משלבת באופן טבעי הצהרת זמן מוסמכת בכל חתימה אלקטרונית מוסמכת שהוצאה בפלטפורמה שלה. גלה כיצד להבטיח את הוכחותיך